Ktoś podszywa się pod moją firmę — co zrobić?

Jeżeli klienci, kontrahenci lub firma mogą stracić pieniądze albo dane — to jest priorytet, przed analizą i dokumentowaniem szczegółów:

• przelew na rachunek oszusta — natychmiast skontaktuj się ze swoim bankiem (jeśli to firma wykonała przelew) i poproś o próbę wstrzymania lub zwrotu środków; klientów, którzy zapłacili oszustom, poproś o pilny kontakt z ich bankami
• możliwe przejęcie konta firmowego — zmień hasło do skrzynki e-mail i konta z bezpiecznego urządzenia, wyloguj nieznane sesje, sprawdź uprawnienia administratorów i włącz uwierzytelnianie wieloskładnikowe
• wiadomości do klientów w imieniu firmy — opublikuj krótkie ostrzeżenie w oficjalnych kanałach
• wyłudzanie danych logowania lub kart — zgłoś stronę do CERT Polska, aby mogła trafić na listę ostrzeżeń

Przykład ostrzeżenia: „Uwaga: profil @firma_promocje nie należy do nas. Nie prowadzimy konkursów wymagających podania danych karty ani przelewów. Nasze jedyne oficjalne konta to: [lista]. Jeśli przekazałeś dane lub pieniądze, skontaktuj się ze swoim bankiem i napisz do nas na [adres].”

Od rodzaju podszywania się zależy, gdzie i jak zgłaszać sprawę.

Scenariusz A — fałszywy profil firmy (Facebook, Instagram, TikTok, LinkedIn)

Ktoś założył nowe konto lub stronę z Twoją nazwą, logo i zdjęciami. Często prowadzi fałszywe konkursy, oferty pracy, sprzedaż lub reklamy. Ścieżka: zabezpiecz profil i jego aktywność → zgłoś go platformie w kategorii „podszywanie się” (a jeśli używa logo — także jako naruszenie znaku towarowego) → ostrzeż obserwujących → przy wyłudzeniach zawiadom Policję.

Scenariusz B — przejęcie prawdziwego konta firmy

Straciłeś dostęp do własnego profilu, strony lub konta reklamowego, albo ktoś publikuje z niego treści. To incydent bezpieczeństwa, nie fałszywy profil. Ścieżka: oficjalny proces odzyskiwania konta („konto zhakowane”) → zabezpieczenie e-maila i uprawnień → sprawdzenie, czy sprawca miał dostęp do danych klientów (wiadomości, list odbiorców, formularzy) → ocena obowiązków z RODO.

Scenariusz C — wiadomości e-mail rzekomo od firmy

Możliwe są trzy różne sytuacje: sprawca fałszuje adres nadawcy (spoofing), wysyła z łudząco podobnego adresu (np. z literówką w domenie) albo korzysta z przejętej prawdziwej skrzynki pracownika. Ścieżka: zabezpiecz wiadomość z pełnymi nagłówkami → ustal, który wariant zachodzi (może w tym pomóc dostawca poczty lub specjalista) → przy przejętej skrzynce postępuj jak w scenariuszu B → zgłoś do CERT Polska → przy wyłudzeniu zawiadom Policję.

Scenariusz D — podobna nazwa, domena lub fałszywa strona

Ktoś zarejestrował domenę podobną do Twojej i prowadzi pod nią sklep, stronę logowania, „panel klienta” lub fałszywe ogłoszenia. Ścieżka: zabezpiecz stronę → zgłoś ją do CERT Polska i do Google Safe Browsing → zgłoś nadużycie do dostawcy hostingu i rejestratora domeny (formularz „abuse”) → jeśli chcesz odzyskać domenę lub zakazać używania nazwy, skonsultuj z prawnikiem postępowanie przed właściwym sądem polubownym dla domen albo sądem powszechnym.

Scenariusz E — nieuprawnione używanie znaku towarowego i oznaczeń firmy

Ktoś używa Twojego logo, nazwy lub materiałów na produktach, w reklamach czy w ofertach, ale niekoniecznie udaje Twoją firmę 1:1. Ścieżka: zabezpiecz przykłady użycia → sprawdź, czy masz zarejestrowany znak towarowy (w Urzędzie Patentowym RP lub EUIPO) → skorzystaj z formularzy platform dotyczących znaków towarowych → przy większej skali skonsultuj z prawnikiem wezwanie i roszczenia.

Scenariusze się łączą: fałszywy profil (A) może kierować na fałszywą stronę (D), a ta — wyłudzać dane, które posłużą do przejęcia kont (B). Opisz w zgłoszeniach całą ścieżkę.

Fałszywe profile i strony phishingowe znikają szybko — czasem po kilku godzinach. Zanim je zgłosisz, zachowaj:

• URL profilu, strony lub ogłoszenia oraz nazwę użytkownika
• zrzuty ekranu profilu, opisu, postów, reklam i komentarzy z widocznym adresem i datą
• wiadomości wysyłane do klientów (od klientów poproś o zrzuty lub przekazanie wiadomości)
• przy e-mailach: oryginalną wiadomość z pełnymi nagłówkami, a nie tylko zrzut ekranu
• numery rachunków bankowych, telefonów, adresy e-mail i linki płatności używane przez sprawcę
• informacje o domenie: datę rejestracji i rejestratora, jeżeli są publicznie dostępne
• przy reklamach: dane reklamodawcy widoczne w bibliotece lub informacji o reklamie danej platformy
• listę osób poszkodowanych i kwot, jeśli wiesz o stratach

Nie wchodź w interakcję ze sprawcą i nie podawaj na fałszywej stronie żadnych danych „na próbę”. Jeżeli musisz otworzyć podejrzany link, zrób to ostrożnie — najlepiej zleć to osobie zajmującej się bezpieczeństwem.

• Platforma (Meta, TikTok, LinkedIn, Google) — fałszywy profil, strona, reklama, ogłoszenie lub przejęte konto — wybierz kategorię „podszywanie się”, „konto zhakowane” albo „znak towarowy”
• CERT Polska (incydent.cert.pl, podejrzane SMS-y: przekaż na numer 8080) — strony phishingowe, fałszywe sklepy, wiadomości wyłudzające dane lub pieniądze, incydenty bezpieczeństwa
• Bank — przelew na rachunek oszusta, próba wyłudzenia danych dostępowych do bankowości firmowej
• Dostawca hostingu i rejestrator domeny — fałszywa strona działająca na ich infrastrukturze — przez formularz lub adres do zgłaszania nadużyć
• Policja — wyłudzenie pieniędzy lub danych, przejęcie konta, podszywanie się pod pracownika — zawiadomienie można złożyć w każdej jednostce
• Prezes UODO — naruszenie ochrony danych osobowych w Twojej firmie, jeśli z oceny ryzyka wynika obowiązek zgłoszenia

Platformy mają obowiązek udostępniać mechanizm zgłaszania treści nielegalnych i uzasadniać swoje decyzje. Zachowaj numer zgłoszenia i odpowiedź. Jeżeli zgłoszenie zostanie odrzucone, możesz skorzystać z odwołania w serwisie.

Jeżeli fałszywe konto, strona lub wiadomości mogą wprowadzić klientów w błąd — poinformuj ich. Wystarczy krótki, rzeczowy komunikat: co się dzieje, jak rozpoznać oficjalne kanały, czego firma nigdy nie robi (np. nie prosi o dane karty w wiadomościach) i co zrobić, jeśli ktoś już padł ofiarą.

Osobną kwestią są obowiązki z RODO. Podszywanie się pod firmę samo w sobie nie oznacza naruszenia ochrony danych osobowych w Twojej firmie. Jeżeli sprawca założył fałszywy profil i sam zbiera dane od klientów — to przede wszystkim oszustwo. Inaczej jest, gdy doszło do incydentu po Twojej stronie, np. przejęcia skrzynki, konta z wiadomościami klientów lub bazy zamówień. Wtedy:

• oceń, czy doszło do naruszenia ochrony danych osobowych i jakie jest ryzyko dla osób, których dane dotyczą
• jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności tych osób, administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki — w miarę możliwości w ciągu 72 godzin od jego stwierdzenia
• jeżeli ryzyko jest wysokie, zawiadom także osoby, których dane dotyczą
• udokumentuj incydent i podjęte działania, również wtedy, gdy zgłoszenie nie jest wymagane

Jeśli w firmie jest inspektor ochrony danych, zaangażuj go od początku.

Kilka zabezpieczeń znacząco utrudnia podszywanie się pod firmę:

• MFA (uwierzytelnianie wieloskładnikowe) — oprócz hasła wymaga drugiego potwierdzenia, np. kodu z aplikacji lub klucza sprzętowego. Samo wykradzione hasło wtedy nie wystarcza do przejęcia konta.
• SPF — publiczna lista serwerów, które mogą wysyłać e-maile z Twojej domeny. Serwer odbiorcy może sprawdzić, czy wiadomość przyszła z „uprawnionego” miejsca.
• DKIM — cyfrowy podpis wiadomości. Pozwala sprawdzić, że e-mail rzeczywiście wysłała Twoja domena i że nikt go po drodze nie zmienił.
• DMARC — instrukcja dla serwerów odbiorców: co zrobić z wiadomością, która nie przeszła kontroli SPF i DKIM (np. odrzucić ją lub przenieść do spamu), oraz raporty o próbach wysyłki w Twoim imieniu.

Te mechanizmy chronią przed fałszowaniem adresu Twojej domeny, ale nie przed wiadomościami z łudząco podobnych domen ani z przejętych skrzynek. Dlatego warto także:

• prowadzić listę oficjalnych kont i domen oraz publikować ją na stronie firmy
• ograniczyć liczbę administratorów kont i regularnie przeglądać uprawnienia
• wprowadzić zasadę, że każdą zmianę numeru rachunku od kontrahenta potwierdza się telefonicznie pod znanym wcześniej numerem
• monitorować nowe domeny i profile podobne do nazwy firmy
• rozważyć rejestrację znaku towarowego i weryfikację kont na platformach
• szkolić pracowników z rozpoznawania phishingu

• nie zaczynaj od długiej analizy, gdy klienci mogą właśnie tracić pieniądze
• nie wchodź na fałszywą stronę z firmowego komputera i nie wpisuj na niej żadnych danych
• nie odpisuj sprawcy i nie próbuj „przejąć” jego konta ani strony
• nie kupuj usług „usunięcia profilu w 24 h” od nieznanych pośredników
• nie zakładaj automatycznie, że doszło do wycieku danych z firmy — ale też nie pomijaj tej oceny
• nie publikuj nazwisk osób, które podejrzewasz, bez potwierdzonych ustaleń
• nie usuwaj wiadomości phishingowych, zanim je zabezpieczyszz z nagłówkami

• Oceń, czy zagrożone są pieniądze, konta lub dane — i zacznij od tego.
• Skontaktuj się z bankiem, jeśli doszło do przelewu.
• Zabezpiecz konta firmowe: hasła, sesje, MFA, administratorzy.
• Ostrzeż klientów w oficjalnych kanałach.
• Zabezpiecz fałszywy profil, stronę lub wiadomość z nagłówkami.
• Zgłoś naruszenie platformie, CERT Polska, hostingodawcy lub rejestratorowi.
• Przy wyłudzeniu złóż zawiadomienie na Policji.
• Oceń obowiązki z RODO i udokumentuj incydent.
• Wdróż SPF, DKIM i DMARC oraz listę oficjalnych kanałów.

Sklep internetowy z akcesoriami rowerowymi dowiaduje się od klientki, że na Instagramie działa profil z jego logo, który ogłasza „wyprzedaż -70%” i kieruje do sklepu pod domeną różniącą się jedną literą. Klientka zapłaciła kartą i nie otrzymała towaru. Właściciel w pierwszej godzinie publikuje ostrzeżenie we wszystkich kanałach i prosi poszkodowanych o kontakt z bankami. Następnie zabezpiecza profil, reklamy i stronę, zgłasza profil na Instagramie jako podszywanie się i naruszenie znaku towarowego, a stronę — do CERT Polska, Google Safe Browsing i dostawcy hostingu. Zbiera od klientów zrzuty wiadomości i potwierdzenia płatności, po czym składa zawiadomienie na Policji. Ponieważ sprawca nie miał dostępu do systemów sklepu, nie dochodzi do naruszenia ochrony danych po stronie firmy — sklep dokumentuje jednak tę ocenę. Kilka dni później wdraża DMARC i publikuje na stronie listę oficjalnych kont i domen.

Sprawdź, czy klienci lub firma mogą stracić pieniądze, konta albo dane. Jeśli tak — kontakt z bankiem, zabezpieczenie kont firmowych i ostrzeżenie klientów mają pierwszeństwo przed dokumentowaniem szczegółów.

Fałszywy profil to nowe konto udające Twoją firmę — zgłaszasz je jako podszywanie się. Przejęte konto to Twoje prawdziwe konto, do którego ktoś uzyskał dostęp — korzystasz z procedury odzyskiwania konta zhakowanego.

Do CERT Polska (incydent.cert.pl), do Google Safe Browsing oraz do dostawcy hostingu i rejestratora domeny. Jeżeli ktoś stracił pieniądze, zawiadom również Policję.

Tylko jeśli doszło do naruszenia ochrony danych osobowych u Ciebie jako administratora i wiąże się ono z ryzykiem dla osób, których dane dotyczą. Samo istnienie fałszywego profilu zwykle nie jest takim naruszeniem, ale ocenę warto udokumentować.

To ustawienia domeny poczty. SPF wskazuje, które serwery mogą wysyłać e-maile w Twoim imieniu, DKIM podpisuje wiadomości, a DMARC mówi serwerom odbiorców, co zrobić z wiadomością, która nie przeszła tych kontroli.

Tak. Możesz zgłosić profil jako podszywanie się, a nazwa i oznaczenia firmy mogą być chronione m.in. przepisami o prawie do firmy i o zwalczaniu nieuczciwej konkurencji. Zarejestrowany znak ułatwia jednak zgłoszenia na platformach i dochodzenie roszczeń.

Napisz krótko, co się dzieje, podaj listę oficjalnych kanałów, wskaż, czego firma nigdy nie robi, i co zrobić, jeśli ktoś już przekazał dane lub pieniądze.

Jeżeli profil służy do wyłudzania pieniędzy lub danych, chodzi o możliwe przestępstwo i warto złożyć zawiadomienie z zebranym materiałem. Sam profil bez szkody częściej wymaga zgłoszenia platformie i działań cywilnych.

• Ktoś przejął moje konto — co robić?
• Jak zabezpieczyć treść z internetu, zanim zniknie?
• Jak zgłosić hejt na Facebooku, Instagramie, TikToku, YouTube, X i LinkedIn?
• Platforma odrzuciła moje zgłoszenie — co dalej?
• Ktoś założył fałszywy profil z moim zdjęciem — co zrobić?
• Zgłaszać wpis od razu czy najpierw zabezpieczyć?